Fortinet FortiSandbox: Aktiv ausgenutzte Root-Lücke sofort patchen

Zwei kritische Schwachstellen in Fortinets FortiSandbox-Appliances werden bereits aktiv angegriffen. Ein nicht angemeldeter Angreifer aus dem Internet kann über präparierte HTTP-Anfragen Befehle mit root-Rechten ausführen und das Gerät vollständig übernehmen. Die US-Behörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen; wer FortiSandbox betreibt, sollte jetzt handeln.

Was ist passiert?

Fortinet und CISA warnen vor zwei Schwachstellen in FortiSandbox, der Appliance zur automatisierten Malware-Analyse. Beide sind sogenannte OS-Command-Injection-Lücken (CWE-78): Nutzereingaben werden ungefiltert an einen Systembefehl weitergereicht, sodass ein Angreifer eigene Kommandos einschleusen kann.

• CVE-2026-39808 (CVSS 9,8, kritisch): Über eine speziell gebaute HTTP-Anfrage lässt sich ohne Anmeldung und ohne Nutzerinteraktion beliebiger Code auf dem Gerät ausführen. Der Angriff ist von geringer Komplexität – im Ergebnis erlangt der Angreifer volle Kontrolle mit root-Rechten.
• CVE-2026-25089 (kritisch): eine zweite Befehls-Injection in FortiSandbox, die auf gleichem Weg zur unautorisierten Codeausführung führt.

Die Sicherheitsfirma Defused meldete bereits Mitte Juni 2026 erste Angriffe in freier Wildbahn. CISA nahm beide Lücken Mitte Juli 2026 in den KEV-Katalog auf und setzte US-Bundesbehörden eine Frist bis Sonntag, den 20. Juli 2026, zum Patchen (Binding Operational Directive 26-04).

Wer ist betroffen?

Betroffen sind FortiSandbox-Installationen in den Versionen 4.4.0 bis 4.4.8. Auch die Cloud-Variante FortiSandbox PaaS ist laut NVD in bestimmten Ständen verwundbar. Wer die Appliance einsetzt, sollte den installierten Firmware-Stand umgehend prüfen.

FortiSandbox dient der Analyse verdächtiger Dateien und ist häufig eng mit FortiGate-Firewalls, Mailgateways und dem übrigen Netzwerk verzahnt. Genau das macht eine Übernahme so heikel: Ein kompromittiertes Analyse-System sitzt mitten in der Sicherheitskette und kann als Sprungbrett ins interne Netz dienen. Für KMU, die auf Fortinet-Technik setzen und die Appliance am Perimeter oder mit Management-Zugang betreiben, ist die Lücke daher relevant. Wer kein FortiSandbox einsetzt, ist von dieser konkreten Warnung nicht betroffen.

Was jetzt zu tun ist

1. Version prüfen: Feststellen, ob eine FortiSandbox-Appliance im Einsatz ist und welcher Firmware-Stand läuft (verwundbar: 4.4.0 bis 4.4.8).
2. Sofort patchen: Auf die von Fortinet bereitgestellte, fehlerbereinigte Version aktualisieren (laut Fortinet PSIRT FortiSandbox 4.4.9 bzw. 5.0.6 oder neuer). Das Einspielen des Updates ist die wirksamste Maßnahme.
3. Erreichbarkeit einschränken: Das Management- und API-Interface nicht offen ins Internet stellen, sondern auf vertrauenswürdige Netze und Administrations-Zugänge beschränken.
4. Kompromittierung prüfen: Log- und Zugriffsdaten seit Mitte Juni 2026 auf ungewöhnliche HTTP-Anfragen und Prozessaktivität durchsehen, da bereits vor der breiten Warnung angegriffen wurde.
5. Bei Verdacht eskalieren: Bestätigt sich ein Einbruch, das Gerät neu aufsetzen, alle Zugangsdaten zurücksetzen und die Anbindung an FortiGate & Co. überprüfen.

So hilft Binary System Services

Wir behalten Ihre am Netzwerk exponierten Sicherheits-Appliances wie FortiSandbox, FortiGate und VPN-Gateways im Blick, spielen kritische Updates zeitnah und überwacht ein und prüfen im Ernstfall auf Anzeichen einer Kompromittierung. Bei einer akut ausgenutzten Lücke wie dieser übernehmen wir das schnelle, kontrollierte Patchen und die forensische Prüfung, damit aus einer Warnung kein Sicherheitsvorfall wird. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.